后端云原生【免费下载链接】boto3AWS SDK for Python (Boto3)项目地址https://gitcode.com/gh_mirrors/bo/boto3点击查看免费下载本文是基于 AWS SDK for PythonBoto3的 IAM 策略管理实战指南围绕 IAM 托管策略的完整生命周期展开如何使用boto3.client(iam)调用create_policy、get_policy、attach_role_policy与detach_role_policy四个核心 API 完成策略的创建、信息获取、角色附加与分离操作。读者读完本文后将能够独立编写可运行、可落地的 Python 脚本管理 AWS IAM 权限策略并理解这些调用在 Boto3 源码层面的实现机制。场景概述IAM 策略如何控制权限在 AWS Identity and Access ManagementIAM中权限通过**策略Policy**来授予。策略是一份 JSON 文档它列举了两类关键信息允许执行的操作actions用户可以调用哪些 AWS API操作影响的资源resources这些操作作用于哪些 AWS 资源。IAM 采用**默认拒绝deny by default**模型凡是策略中没有显式允许Allow的操作或资源一律被拒绝。因此策略的编写需要精确到具体的操作与资源 ARN。策略可以被创建后附加到多种主体上用户users单个 IAM 用户用户组groups一组 IAM 用户便于统一授权角色roles被用户、服务或其他账户临时扮演的主体资源resources部分 AWS 服务支持在资源上直接附加基于资源的策略。本文示例聚焦于**托管策略managed policy**的增查与角色附加/分离。原文档出处为 docs/source/guide/iam-example-policies.rst对应仓库的 IAM 示例目录索引见 docs/source/guide/iam-examples.rst。本文使用的四个核心方法均来自 IAM 客户端类client class方法用途create_policy创建新的托管策略get_policy获取托管策略的元数据信息attach_role_policy将托管策略附加到 IAM 角色detach_role_policy从 IAM 角色上分离托管策略前置准备安装 Boto3 并配置 AWS 凭据在运行以下任何示例之前需要先完成两件事安装 SDK 与配置认证凭据。安装要求当前仓库要求 Python 3.10 或更高版本通过 pip 安装即可pip install boto3如需固定版本可使用约束安装例如pip install boto31.15.0。当前仓库版本为1.43.94见 boto3/init.py。更完整的安装与虚拟环境说明参见 docs/source/guide/quickstart.rst。凭据配置可以借助 AWS CLI 执行aws configure自动写入凭据文件也可以手工创建凭据文件。默认位置为~/.aws/credentials[default] aws_access_key_id YOUR_ACCESS_KEY aws_secret_access_key YOUR_SECRET_KEY建议同时在~/.aws/config中设置默认区域[default] regionus-east-1也可以在创建客户端时通过region_name参数显式指定区域。关于凭据与配置的完整来源解析顺序可查阅 docs/source/guide/configuration.rst 与 docs/source/guide/credentials.rst。权限提示运行本文示例的 IAM 用户需要具备iam:CreatePolicy、iam:GetPolicy、iam:AttachRolePolicy、iam:DetachRolePolicy等对应操作权限。创建 IAM 托管策略create_policy用于为你的 AWS 账户创建一个新的托管策略。该操作会自动生成一个版本标识符为v1的策略版本并立即将v1设为该策略的默认版本。后续对策略的每次修改都会产生新的版本号v2、v3……这就是托管策略的版本化机制。示例代码import json import boto3 # Create IAM client iam boto3.client(iam) # Create a policy my_managed_policy { Version: 2012-10-17, Statement: [ { Effect: Allow, Action: logs:CreateLogGroup, Resource: RESOURCE_ARN }, { Effect: Allow, Action: [ dynamodb:DeleteItem, dynamodb:GetItem, dynamodb:PutItem, dynamodb:Scan, dynamodb:UpdateItem ], Resource: RESOURCE_ARN } ] } response iam.create_policy( PolicyNamemyDynamoDBPolicy, PolicyDocumentjson.dumps(my_managed_policy) ) print(response)关键参数与返回值说明PolicyName必填策略名称需在账户内唯一例如myDynamoDBPolicyPolicyDocument必填策略文档。注意 SDK 要求传入的是JSON 字符串因此代码中通过json.dumps(my_managed_policy)将 Python 字典序列化为字符串Version字段固定为2012-10-17这是 IAM 策略语言当前的版本标识不要随意改动Statement数组中的Effect允许/拒绝、Action单个字符串或字符串数组、Resource资源 ARN是策略语句的核心三要素响应对象response中包含Policy字段其下携带Arn、DefaultVersionId、AttachmentCount等元数据可用于后续引用该策略的 ARN。Action支持单个操作如logs:CreateLogGroup或多个操作的列表如对 DynamoDB 表的五项操作。未被列举的 DynamoDB 操作例如dynamodb:CreateTable在该策略下会被默认拒绝——这正是默认拒绝模型的直接体现。获取 IAM 策略信息get_policy用于获取指定托管策略的元数据包括策略的默认版本DefaultVersionId该策略当前被附加到的 IAM 用户、用户组和角色的总数AttachmentCount。示例代码import boto3 # Create IAM client iam boto3.client(iam) # Get a policy response iam.get_policy( PolicyArnarn:aws:iam::aws:policy/AWSLambdaExecute ) print(response[Policy])示例中使用的是 AWS 托管的预置策略AWSLambdaExecute服务前缀arn:aws:iam::aws:policy/表示 AWS 账户管理的策略若是你自己创建的策略则 ARN 为arn:aws:iam::账户ID:policy/策略名。响应中的response[Policy]是一个字典包含PolicyName、Arn、DefaultVersionId、AttachmentCount与CreateDate等字段。延伸需要内容时该用哪些 APIget_policy返回的是策略的元数据。若你需要进一步获取信息请按场景选择查看该策略被附加到哪些具体的用户、用户组和角色使用list_entities_for_policyAPI获取某个特定版本策略的实际文档内容使用get_policy_versionAPI传入PolicyArn与VersionId获取内联策略inline policy的内容内联策略直接内嵌在用户、用户组或角色中不使用get_policy而应分别使用get_user_policy、get_group_policy或get_role_policyAPI。附加托管策略到角色将托管策略附加到角色后该策略即成为角色权限策略permission policy的一部分角色将获得策略中声明的所有权限。示例代码import boto3 # Create IAM client iam boto3.client(iam) # Attach a role policy iam.attach_role_policy( PolicyArnarn:aws:iam::aws:policy/AmazonDynamoDBFullAccess, RoleNameAmazonDynamoDBFullAccess )需要区分权限策略 vs 信任策略附加托管策略时需要注意一个重要边界托管策略只能作为角色的权限策略不能用作角色的信任策略trust policy。角色的信任策略决定谁可以扮演这个角色它在角色创建时通过create_role一并生成如果需要事后更新信任策略应使用update_assume_role_policyAPI如果需要在角色中内嵌内联策略而非附加托管策略应使用put_role_policyAPI。参数说明PolicyArn要附加的托管策略 ARN例如arn:aws:iam::aws:policy/AmazonDynamoDBFullAccessRoleName目标角色的名称注意是角色名称不是角色 ARN。分离托管策略detach_role_policy将指定的托管策略从指定角色上分离。分离操作只解除角色—策略的关联关系不会删除策略本身也不会影响其他主体对该策略的附加。示例代码import boto3 # Create IAM client iam boto3.client(iam) # Detach a role policy iam.detach_role_policy( PolicyArnarn:aws:iam::aws:policy/AmazonDynamoDBFullAccess, RoleNameAmazonDynamoDBFullAccess )参数语义与attach_role_policy完全一致PolicyArnRoleName。角色除了附加托管策略外还可以携带内联策略若要删除角色的内联策略需要使用delete_role_policyAPI传入RoleName与PolicyName这与detach_role_policy是两条不同的路径。托管策略与内联策略的取舍可概括为托管策略可跨多个主体复用、支持版本化与集中管理内联策略随主体绑定适合一次性、主体专属的策略场景。源码级剖析Boto3 如何实现这些 IAM 调用上述示例全部采用boto3.client(iam)的低层客户端low-level client方式。理解其背后的机制有助于排查问题与扩展能力。客户端从哪里来boto3.client()是模块级快捷函数它通过默认会话default session创建客户端。在 boto3/init.py 中可以看到client()最终委托给_get_default_session().client(...)而_get_default_session()会在首次调用时自动创建一个Session实例见 boto3/init.py。Session.client()见 boto3/session.py是真正执行创建逻辑的入口支持以下参数参数说明service_name服务名称如iamregion_name区域覆盖配置文件中的区域设置api_version指定 API 版本默认使用 botocore 最新版本use_ssl/verify是否启用 SSL 与证书校验endpoint_url覆盖默认端点 URL本地测试常用aws_access_key_id/aws_secret_access_key/aws_session_token覆盖当前会话的凭据config高级客户端配置如重试策略、代理aws_account_id账户 ID为兼容 Lambda 环境中的旧版 botocore为None时会被移除最终这些参数被组装为create_client_kwargs并转交 botocore 的create_client完成客户端构建。也就是说Boto3 本身并不包含 IAM 的 Python 实现代码客户端及其方法如create_policy是由 botocore 依据服务模型动态生成的这也是仓库中不存在boto3/iam/__init__.py这类文件的原因。IAM 的资源模型Policy 资源与集合Boto3 除了低层客户端外还通过资源定义文件提供面向对象的高层资源 API。IAM 的资源模型定义在 boto3/data/iam/2010-05-08/resources-1.jsonPolicy 资源第 857 行起以Arn为标识符其load操作调用GetPolicy与本文get_policy示例一一对应Policy 资源预定义了丰富的动作actions如AttachGroup调用AttachGroupPolicy、AttachRole调用AttachRolePolicy、AttachUser、DetachRole调用DetachRolePolicy、DetachGroup、DetachUser、CreateVersion、Delete等见 resources-1.json——这些高层动作在底层映射到与本文相同的 IAM APIPolicy 资源还提供has关系DefaultVersion指向默认策略版本与hasMany关系AttachedGroups、AttachedRoles、AttachedUsers内部通过ListEntitiesForPolicy实现分别传入EntityFilter值为Group/Role/User见 resources-1.json在服务级资源上iam.Policies与iam.Roles是两个顶层集合分别映射到ListPolicies与ListRoles见 resources-1.json。测试与验证仓库的集成测试 tests/integration/test_collections.py 会遍历所有可用服务上的全部资源集合并逐一发起真实请求验证可运行性其中 IAM 仅将signing_certificates集合列入忽略清单因其需要额外参数其余 IAM 集合含iam.Policies、iam.Roles均在覆盖范围内。这从侧面印证文中的客户端调用与资源集合路径是经过仓库集成测试验证的、真实可用的调用方式。最佳实践与注意事项最小权限原则策略文档应精确列举业务所需的Action与Resource利用默认拒绝模型收紧权限边界区分托管策略与内联策略需要多主体复用的权限用托管策略create_policyattach_role_policy仅绑定单一主体的临时权限用内联策略put_role_policy/delete_role_policy信任策略 ≠ 权限策略角色的信任策略由create_role创建、update_assume_role_policy更新托管策略无法替代策略版本管理每次create_policy_version都会新增版本注意默认版本与版本上限每策略最多 5 个版本清理资源分离策略detach_role_policy不等于删除策略DeletePolicy需先解除全部附加关系在测试环境请按 分离 → 删除 的顺序完成清理避免产生残留资源ARO 级联引用创建策略后应从响应的Policy.Arn中提取 ARN 供后续attach_role_policy使用避免硬编码导致的账户间不可移植问题。总结本文完整覆盖了 IAM 托管策略的四个核心操作——create_policy创建、get_policy查询、attach_role_policy附加与detach_role_policy分离并提供了直接可运行的 Python 示例。同时通过 boto3/session.py 与 boto3/data/iam/2010-05-08/resources-1.json 从源码层面揭示了 Boto3 客户端动态生成机制与 IAM Policy 资源的完整模型帮助读者在掌握用法之余理解其底层原理。相关示例的兄弟主题用户管理、访问密钥、服务器证书、账户别名可参见 docs/source/guide/iam-examples.rst 继续深入。赞分享后端云原生【免费下载链接】boto3AWS SDK for Python (Boto3)项目地址https://gitcode.com/gh_mirrors/bo/boto3点击查看免费下载相关推荐AWS SDK for PythonBoto3IAM 全面实战用户、策略、访问密钥、服务器证书与账户别名管理AWS SDK for PythonBoto3IAM 全面实战用户、策略、访问密钥、服务器证书与账户别名管理 导读 AWS Identity and Ac后端云原生Boto3 实战使用 AWS SDK for Python 管理 Amazon EC2 安全组Security GroupBoto3 实战使用 AWS SDK for Python 管理 Amazon EC2 安全组Security Group 本指南基于 Boto3 官方指后端云原生FreeCAD 如何在提交 PR 前本地运行与 CI 相同的 Lint 检查FreeCAD 如何在提交 PR 前本地运行与 CI 相同的 Lint 检查 在向 FreeCAD 提交 Pull Request 之前CI 会通过 sub后端云原生上一篇像老乡鸡那样复刻麻辣鸡块老母鸡汤底炖制、麻辣油调味汁配制与沸水烫菜工艺全解析CookLikeHOC下一篇fhevm 测试网跨链桥实战在 Sepolia 与 Polygon Amoy 上部署并运行 ConfidentialBridge 全流程 Runbook创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
